Política de privacidade

Quem é responsável

O responsável pelo tratamento aqui descrito é o prestador indicado na ficha legal, 14.1 — Metropolitan Digital, Potočani 278, Tešanj, Bosna i Hercegovina — contactável em amir@ultimamemoria.ba.

Encarregado da proteção de dados: não designado — sem obrigação legal.

O que tratamos

• A Dados da conta — forma de tratamento e título, nome próprio e apelido, data de nascimento, endereço de correio, número de telefone, morada postal, país, nome de utilizador, data de registo, último início de sessão.
• B Dados de autenticação — a palavra-passe, guardada apenas como resumo criptográfico e nunca em forma legível, juntamente com os tokens de verificação de correio e de reposição.
• C Dados de aprendizagem — respostas e pontuações do teste de entrada, o programa atribuído (S2/200, S3/300, S10/1000), a fase e a tarefa em curso, os prazos, os resultados de cada teste cronometrado nas quatro dimensões medidas, o progresso pelos módulos de prática e os dados impressos num certificado.
• D Dados de pagamento — o facto e o estado de um pagamento, o montante e a referência devolvida pelo prestador de pagamento. O formulário de cartão no momento do pagamento é o do próprio Stripe, embebido na nossa página: os números de cartão seguem diretamente para o Stripe e nunca são recebidos nem guardados pelos nossos servidores.
• E Dados de comunicação — o conteúdo das mensagens enviadas pelo formulário de contacto ou por correio eletrónico, e a correspondência subsequente.
• F Dados técnicos — identificador de sessão, endereço IP, data e hora do pedido, a página pedida, o navegador e o sistema operativo tal como declarados pelo navegador, e os registos de erro.

Fornecer os dados de A e B é necessário para criar uma conta; sem eles o serviço não pode ser prestado. Os dados de C nascem da própria participação.

Porquê — e com que base jurídica

• A Disponibilização da plataforma, da conta, dos testes, dos módulos de prática e do certificado — execução do contrato com o formando GDPR Art. 6(1)(b).
• B Processamento de pagamentos, faturação e contabilidade — execução do contrato e obrigação legal Art. 6(1)(b), (c).
• C Verificação do correio, reposição da palavra-passe, mensagens de serviço sobre um curso em andamento — execução do contrato Art. 6(1)(b).
• D Resposta a pedidos — execução do contrato ou interesse legítimo em responder Art. 6(1)(b), (f).
• E Segurança, prevenção do uso indevido, análise de erros, manutenção da estabilidade do serviço — interesse legítimo Art. 6(1)(f).
• F Boletim ou outras mensagens facultativas, se oferecidos — consentimento, revogável a qualquer momento Art. 6(1)(a).
• G Quando os resultados são usados no aperfeiçoamento do método, são usados apenas em forma anonimizada e agregada, sem nome e sem possibilidade de os referir a uma pessoa — Art. 6(1)(f).

Os resultados de aprendizagem não são usados para decisões automatizadas com efeitos jurídicos. A atribuição de um programa após o teste de entrada é uma recomendação baseada em regras e pode ser discutida connosco a qualquer momento.

Cookies e registos do servidor

A plataforma coloca um único cookie estritamente necessário, que contém um identificador de sessão para que um formando com sessão iniciada seja reconhecido de página em página. Está marcado como httpOnly, é transmitido em exploração por ligação cifrada e expira automaticamente. O registo de sessão está no nosso próprio servidor de base de dados, não no navegador. Para um cookie desta natureza não é exigida faixa de consentimento; sem ele o serviço não pode ser prestado.

A infraestrutura de alojamento mantém registos de acesso com os dados descritos em 15.2 F. Servem a segurança e a estabilidade do serviço e são apagados ou anonimizados após 30 dias.

Não está integrado qualquer conteúdo de rastreio ou publicitário. Ainda assim, ao exibir-se uma página o navegador contacta três fontes de terceiros, e cada uma recebe por isso o endereço IP do visitante: Google Fonts (fonts.googleapis.com, fonts.gstatic.com) para os tipos de letra, e a rede de distribuição jsDelivr (cdn.jsdelivr.net) para o conjunto de ícones. No momento do pagamento contacta-se do mesmo modo o Stripe. Tudo o resto — folhas de estilo, scripts, imagens, áudio e vídeo — é servido a partir do nosso próprio domínio, e a política de segurança de conteúdo do sítio bloqueia qualquer script fora das fontes aqui nomeadas.

Quem mais vê os dados

• A Alojamento e base de dados — Cloudflare, Inc., USA, que opera os servidores em que a plataforma e a sua base de dados funcionam.
• B Prestador de pagamento — Stripe, que trata os pagamentos com cartão, os reembolsos e as notificações de pagamento. Os dados do cartão são introduzidos diretamente no Stripe e não nos são visíveis. Informação de privacidade do próprio Stripe: stripe.com/privacy.
• C Envio de correio — Cloudflare, Inc., USA, usado para a verificação, a reposição da palavra-passe, a confirmação de pagamento e as mensagens de serviço.
• D Tipos de letra e ícones — Google (Google Fonts) e jsDelivr, que recebem o endereço IP do navegador que pede uma página, conforme descrito em 15.4. Não recebem dados de conta nem de aprendizagem.
• E Consultores profissionais e autoridades — consultores fiscais, auditores ou organismos públicos, quando exista obrigação legal.

Os dados pessoais não são vendidos nem transmitidos a terceiros para fins publicitários. Quando um prestador trata dados fora do Espaço Económico Europeu, a transferência é salvaguardada por cláusulas contratuais-tipo.

Quanto tempo os dados são conservados

• A Dados da conta e de aprendizagem — durante a existência da conta, e por 12 meses depois, para que um certificado possa ser reemitido e um programa concluído possa ser comprovado.
• B Faturas e registos de pagamento — 10 anos.
• C Correspondência — 3 anos.
• D Registos do servidor — 30 dias, ver 15.4.

Quando uma conta é eliminada, os dados indicados em A são apagados ou anonimizados, salvo se existir obrigação de conservação nos termos de B; tais registos ficam então bloqueados para uso ulterior.

Os seus direitos

• A Acesso — confirmação de que dados são tratados, e cópia deles.
• B Retificação — correção de dados inexatos e completamento de dados incompletos.
• C Apagamento — eliminação quando os dados já não são necessários e não existe obrigação de conservação.
• D Limitação — tratamento restringido enquanto se resolve um litígio sobre exatidão ou licitude.
• E Portabilidade — os dados por si fornecidos, em formato estruturado e legível por máquina.
• F Oposição — ao tratamento baseado no interesse legítimo, por motivos relativos à sua situação.
• G Retirada do consentimento — a qualquer momento, com efeito para o futuro.
• H Reclamação — junto de uma autoridade de controlo, em particular a do seu local de residência: Agencija za zaštitu ličnih/osobnih podataka u Bosni i Hercegovini, Sarajevo.

Os pedidos são dirigidos ao endereço de contacto de 15.1 ou através do formulário de contacto. Quando um pedido respeite a uma conta, podemos pedir confirmação de identidade.

Segurança e alterações a esta política

O tráfego entre navegador e servidor é cifrado em exploração. As palavras-passe são guardadas apenas como resumos. O acesso aos dados dos formandos limita-se às contas que dele necessitam para operar o serviço; os materiais de aprendizagem são entregues apenas a um formando com sessão iniciada cujo acesso esteja pago. O sítio aplica uma política de segurança de conteúdo que bloqueia scripts externos, e as funções administrativas estão separadas das dos formandos.

Nenhuma transmissão pela internet pode ser garantida absolutamente segura. Caso ocorra uma violação de dados suscetível de implicar risco elevado para as pessoas afetadas, estas serão informadas sem demora injustificada e a autoridade de controlo competente será notificada conforme exigido.

Esta política pode ser alterada quando o serviço ou a situação jurídica mudarem. Vigora a versão aqui publicada, com a data indicada no cabeçalho; as alterações substanciais que afetem formandos registados são anunciadas por correio eletrónico.